搜索

[14978] 2020-02-05_记一次某城乡结合部应急支撑工作

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-02-05_记一次某城乡结合部应急支撑工作 记 一 次 某 城 乡 结 合 部 应 急 支 撑 工 作 r e d h a t d   F r e e B u f   2 0 2 0 - 0 2 - 0 5 序 序 本 文 文 章 不 涉 过 多 及 脱 壳 和 逆 向 技 术 ， 仅 对 病 毒 作 行 为 分 析 ， 相 对 简 单 易 学 。 逆 向 苦 手 不 用 害 怕 。 本 文 文 章 不 涉 过 多 及 脱 壳 和 逆 向 技 术 ， 仅 对 病 毒 作 行 为 分 析 ， 相 对 简 单 易 学 。 逆 向 苦 手 不 用 害 怕 。 背 景 ： 背 景 ： 某 天 B O S S 接 到 慈 善 业 务 ， 某 X X 办 市 级 下 属 单 位 被 通 报 ， 大 概 意 思 某 区 X X 办 被 市 级 X X 办 通 报 了 ， 要 求 某 区 级 处 理 。 由 于 区 级 没 有 技 术 力 量 ， 所 以 文 章 作 者 就 收 到 了 来 自 B O S S 的 施 压 。 要 去 处 理 这 个 事 情 ， 并 要 展 示 其 专 业 性 。 黑 人 问 号 脸 ? 通 报 内 容 是 纸 质 大 概 只 给 了   来 源 I P   端 口   目 的 I P   端 口       病 毒 类 型 为 远 控 ， ， ， ， 然 后 ， ， ， ， 没 了 。 。 。 一 、 来 到 现 场 分 析 开 始 一 、 来 到 现 场 分 析 开 始   ( 定 位 ） 定 位 ） 先 在 网 关 做 镜 像 口 ， 由 于 一 般 小 单 位 没 有 管 网 络 设 备 的 人 ， 最 好 自 己 带 一 个 可 配 置 的 交 换 机 作 为 镜 像 口 配 置 。 镜 像 口 配 置 好 了 ， 打 开 电 脑 接 上 就 开 启 抓 包 放 那 就 好 ， 截 图 使 用 的 w i r e s h a r k ， 总 计 抓 包 时 间 2 小 时 1 8 分   过 滤 通 报 地 址 。 X X X . X X X . 2 4 3 . 3   为 通 报 I P   归 属 为 美 国     1 9 2 . 1 6 8 . 1 6 . 2 5   为 内 网 P I N G   测 试 地 址       发 现 有 通 报 I P 的 集 中 在 1 9 2 . 1 6 8 . 1 6 . 2 5 0 的 访 问
看 M A C   地 址 查 询 之 后 发 现 很 可 能 是 菊 花 厂 的 网 络 设 备 ， 下 面 还 有 其 他 客 户 端 。 找 到 ：
然 后 再 在 这 个 网 段 下 作 抓 包 分 析   最 后 定 位 到   1 9 2 . 1 6 8 . 0 . 2 0 4     网 关 为 1 9 2 . 1 6 8 . 1 6 . 2 5 0 最 后 找 到 个 这 么 个 东 西 ：
到 这 里 呢 其 实 这 个 只 要 重 装 系 统 杀 杀 毒 就 完 事 了 ， 但 是 B O S S 要 求 展 示 其 专 业 性 ， 所 以 这 事 就 还 没 完 … … 二 、 中 毒 主 机 现 状 分 析 二 、 中 毒 主 机 现 状 分 析 中 毒 主 机   w i n X P       w i n X P   ? ? G H O 系 统     上 面 还 有 很 多 2 3 4 5 之 类 的 东 西 。 逆 向 和 监 控 类 的 软 件 大 概 准 备 了 这 些 L P K . D L L   是 打 包 回 来 的 病 毒 。 但 是 实 际 只 用 了 p r o c e s s   m o n i t o r 、 w i n h e x 、 p r o c e s s e x p l o r e r 、 火 绒 剑 ， 其 他 一 些 软 件 是 事 后 分 析 用 的 不 多 讲 了 。 当 然 你 也 不 太 可 能 现 场 脱 壳 ， 时 间 有 限 不 太 实 际 。
2 . 1       找 到 对 应 进 程 号 找 到 对 应 进 程 号   开 启 开 启 p r o c e s s m o n i t 发 现 进 程 名 为 s v c h o s t . e x e   P I D   1 8 9 2   进 行 在 与   X X X . X X X . 2 4 3 . 3 : 8 0 9 0   处 于 连 接 建 立 状 态 。 并 在 多 个 目 录 生 成 l p k . d l l 文 件 （ 疑 似 病 毒 ） ， 文 件 生 成 自 带 文 件 隐 藏 属 性 。 2 . 2   发 现 网 络 通 信 发 现 网 络 通 信 主 要 通 信 域 名 ： X . 4 . a r a v w a l . i n f o   X . 5 . a r a v w a l . i n f o
查 询 了 一 下   是 未 注 册 状 态 ， 但 是 微 步 上 反 查 有 这 个 域 名 ？ ？       X . 5 . a r a v w a l . i n f o   这 个 算 是 没 有 的 。
X . 4 . a r a v w a l . i n f o   指 向 的 是 另 一 个 地 址   X X X . X X X . 2 4 3 . 4   对 跟 通 报 I P   X X X . X X X . 2 4 3 . 3 就 差 1 ， 可 能 一 样 的 东 西 两 个 I P 地 址 转 发 请 求 也 有 可 能 ， 这 里 不 做 过 多 讨 论 。 2 . 3   使 用 使 用 w i n h e x   访 问 访 问 R A M   发 现 主 动 下 载 请 求 发 现 主 动 下 载 请 求     （ 由 于 中 途 蓝 屏 一 次 （ 由 于 中 途 蓝 屏 一 次 P I D   变 为 变 为 1 8 8 4 ） ）
还 发 现 L P K . D L L   作 为 挂 载 到 s v c h o s t   进 程 的 痕 迹         将 全 部 内 存 和 主 存 储 器   打 包 带 回 去 研 究 。 。 。 。 。 。 网 络 抓 包 情 况 也 是 如 此 很 明 显   X X X . X X X . 2 4 3 . 3 和   X X X . X X X . 2 4 3 . 4   存 在 跳 转 关 系
2 . 4   查 询 微 步 发 现 这 上 面 确 实 是 毒 窝 查 询 微 步 发 现 这 上 面 确 实 是 毒 窝 这 个 服 务 器 上 病 毒 的 问 题 不 在 本 次 应 急 范 围 内 简 单 贴 个 图 分 析 的 行 为 图 就 完 综 上 所 述 ： 主 机 的 病 毒 行 为 简 单 分 析 简 单 说 实 际 分 析 不 需 要 会 脱 壳 的 ， 在 主 机 上 开 机 监 控 软 件 就 好 ， 全 量 监 控 、 访 问 内 存 和 进 程 转 储 是 常 用 办 法 。 1 ： 优 点   门 槛 低 易 学 易 会 2 ： 缺 点   分 析 不 全 面       比 如 病 毒 下 载 某 文 件     你 只 知 道 行 为 ， 但 是 不 知 道 底 层 代 码 如 何 实 现 的 。 但 是 一 般 应 对 客 户 交 差 交 报 告 做 病 毒 分 析 问 题 不 大 。 实 时 分 析 技 术 也 是 沙 箱 的 技 术 原 理
最 后 写 报 告 。 。 。 。 后 续 处 置 建 议     我 这 里 写 的 相 对 简 单   毕 竟 是 慈 善 业 务 ， 后 续 看 销 售 发 挥 。 后 续 处 置 建 议 ： 建 议 网 络 出 口 增 加 一 台 带 有 病 毒 查 杀 功 能 的 防 火 墙 ， 用 于 防 止 网 络 访 问 引 起 中 毒 事 件 。 建 议 在 所 有 客 户 端 增 加 终 端 管 控 与 杀 毒 软 件 ， 用 于 防 止 控 制 U 盘 插 入 和 人 为 中 毒 事 件 。 （ 杀 毒 软 件 需 要 专 人 维 护 定 期 更 新   建 议 一 个 月 一 次   企 业 版 杀 毒 软 件 可 以 统 一 更 新 ） 加 强 人 员 安 全 意 识 培 训 ， 增 强 技 术 人 员 安 全 技 能 。 出 现 类 似 情 况 方 便 自 行 处 理 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： r e d h a t d ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理